Gépelési nehézségekkel küzdő botnet-üzemeltető omlasztotta össze saját rendszerét. Egy elgépelt parancs elég volt ahhoz, hogy az egész jól kitervelt támadási művelet füstbe menjen. Végül ennek köszönhetően az egész botnet működésképtelenné vált. Magát a botnetet, majd a támadó hálózat pusztulását előidéző hibás parancssort is az Akamai Technologies kiberbiztonsági kutatói fedezték fel. Akit minden technikai részlet és finomság érdekel, egy kattintásra elérheti elemzésüket.
A történet szokványosan indult. Az Akamai egyik honeypotja november első felében "fogott" egy botnetet. A Go nyelven írt kártevő (ezt a nyelvet egyre gyakrabban használják hekkerek, mert kódját viszonylag nehéz visszafejteni) gyenge bejelentkezési adatokat használó SSH-kapcsolaton keresztül fertőzte meg a rendszereket, melyekből időnként eltűnt, hogy elkerülje a lebukást. Elsősorban a játékipari és technológiai cégeket, valamint a luxusautó-gyártókat támadta, de tudott kriptovalutát bányászni, és alkalmas volt DDoS-támadások végrehajtására is. A kutatók KmsdBotnak nevezték a támadó rendszert, és elkezdték figyelni a tevékenységét, készen arra, hogy szükség esetén beavatkozzanak.
Erre azonban nem volt szükség. A botnet tesztelése közben (ennek során ellenőrzött környezetben küldtek parancsokat a botnetnek) azonban olyan hibára bukkantak, ami aktiválva magát lényegében tönkretette az egész botnet-hálózatot. "Nem mindennap találkozunk olyan botnetekkel, amelyeket maguk a fenyegető szereplők tesznek tönkre" – nyilatkozta a beszédes nevű Larry Cashdollar kutató, aki a botnet összeomlásával foglalkozó beszámolót jegyzi az Akamai blogján.
A kihagyott hibaellenőrző funkció bosszúja
Az Akamai kialakított egy speciális tesztkörnyezetet, amelyben azt vizsgálta, hogy a KmsdBot milyen parancsokat kap az ún. C2 (command-and-control) szerverétől. A megfigyelés során vették észre, hogy a botnet egy rosszul formázott parancs után leállította a további támadási parancsok küldését.
A hibás parancs a következő volt:
!bigdata www.bitcoin.com443 / 30 3 3 3 100
A parancsban, amelynek célja a kutatók szerint valószínűleg a bitcoin.com oldal elleni DDoS-támadás elindítása volt, csupán az a hiba, hogy az URL ('www.bitcoin.com') és a portszám ('443') között nincs szóköz. Ez egy olyan probléma, amit a legtöbb többé-kevésbé korrektül megírt szoftver képes lenne kezelni (pl. visszaadna egy hibaüzenetet, de nem csinálna semmit). Nem így a KmsdBot!
A kutatók rekonstruálták a parancsot, és a tesztkörnyezetükben is kipróbálták. Ekkor jöttek rá, hogy a parancs valószínűleg összeomlasztotta a fertőzött gépeken futó összes olyan Go binárist, amely a C2 szerverrel kommunikált. Cashdollar szerint ritka eset látni egy olyan fenyegetést, amely egy ilyen elgépeléssel lényegében önmagát hárítja el. A kutató szerint az eset szépen mutatja a technológia szeszélyes, ingatag természetét, meg azt is, hogy nem csak a gyanútlan célpontok hibáit lehet kiaknázni, hanem a támadókét is.
Cyber Threat Intelligence: üzleti előny a sötét adatokból
Egyetlen kompromittált jelszó. Egy belépési pont, amit már nem használnak. Egy korábbi alkalmazott adatszivárgása. Ezek ma már nem csupán technikai hibák, hanem valós üzleti fenyegetések, amelyek a digitális alvilág piacán előbb bukkannak fel, mint ahogy a cég egyáltalán észrevenné.
Miért kell az üzleti intelligenciának megelőznie az MI bevezetését?
A felfokozott várakozásokhoz képest kiábrándító az MI-bevezetések valósága, ebben pedig a fő bűnös a rossz adatminőség és nem megfelelő adatinfrastruktúra.
Nyílt forráskód: valóban ingyenes, de használatának szigorú szabályai vannak